Grundlagen der Informatik I “Programmierung”

Rein hypothetisch könnte man bei der Verifikation einer Schleife auch ohne Invariante und Variante auskommen,
wenn man beschreiben könnte, wie oft die Schleife durchlaufen wird. Wäre bekannt, daß die Schleife
from Init until Abbruch loop Anweisung end
nach genau n Durchgängen terminiert, dann könnte die Vorbedingung pre der Schleife aus der Nachbedingung
post wie folgt berechnet werden:
wp(Anweisung;Anweisung; ...;Anweisung
n−mal
, post)
Mathematisch kann die Unkenntnis über die konkrete Anzahl n der Durchgänge bis zur Terminierung durch
einen Existenzquantor ersetzt werden und es ist tatsächlich möglich, einen Prädikatentransformer ohne Kenntnis
dieser Anzahl zu formulieren. Die schwächste Vorbedingung für die Nachbedingung post unter der obigen
Schleife ist daher eine Formulierung der folgenden Aussage:
Es gibt eine Anzahl n, so daß gilt
Für alle Werte k ∈{1..n − 1} ist nach k-maliger Durchführung von Anweisung ist Abbruch nicht erfüllt
und nach n-maliger Durchführung von Anweisung ist Abbruch erfüllt
und es gilt die schwächste Vorbedingung von post bezüglich der n-fachen Ausführung von Anweisung.
Für eine Präzisierung dieser Aussage muß man nun noch den Begriff der n-malige Durchführung einer Anweisung
durch ein Prädikat ersetzen. Wir führen zu diesem Zweck ein Prädikat Hn ein, welches folgende
Bedeutung haben soll:
Hn(Anweisung, Abbruch, post) ist die schwächste Vorbedingung dafür, daß nach genau n-maliger
Durchführung von Anweisung die Bedingung Abbruch erfüllt ist und post gilt.
Hn kann durch eine rekursive logische Definition ausgedrückt werden, denn H0 gilt genau dann, wenn die
Schleife sofort abbricht und post gilt, und Hn+1 genau dann, wenn die Schleife nicht abbricht und nach
einmaliger Ausführung von Anweisung Hn gilt.
H0(Anweisung,Abbruch,post) ≡ Abbruch ∧ post
Hn+1(Anweisung,Abbruch,post) ≡ ¬Abbruch ∧ wp(Anweisung, Hn(Anweisung,Abbruch,post))
Mit Hn läßt sich die schwächste Vorbedingung für post bezüglich einer Schleife ausdrücken als
wp(Init, ∃n:IN . Hn(Anweisung, Abbruch, post)).
Durch den Existenzquantor ist diese Form für die Praxis zu umständlich. Daher verzichtet man bei Schleifen im
allgemeinen auf die schwächste Vorbedingung und stellt eine Verifikationsregel auf, die hinreichende Prämissen
für Terminierung und Erfüllung der Nachbedingung enthält. Für diese Schlußregel sind Informationen über
die Invariante Inv und die Variante Var der Schleife unabdinglich.
Für die partielle Korrektheit reicht es aus, über die Invariante zu argumentieren. Wenn die Invariante nach der
Initialisierung gilt und nach jeder Ausführung von Anweisung, wenn sie vorher galt, dann gilt nach Beendigung
der Schleife die Invariante und natürlich auch die Abbruchbedingung.
{ pre} Init { Inv} , { Inv ∧ ¬Abbruch} Anweisung { Inv}
{ pre} from Init until Abbruch loop Anweisung end { Inv ∧ Abbruch}
Diese Regel berücksichtig noch nicht, daß auch die Terminierung eine Prämisse für die totale Korrektheit der
Schleife sein muß. Um Terminierung zu beweisen, benötigen wir als Voraussetzung, daß die Variante nach der
Initialisierung nicht negativ ist und nach jeder (legalen) Ausführung von Anweisung kleiner geworden ist:
{ pre} Init { Var≥0} und { ¬Abbruch ∧ Var≥0 ∧ Var=x} Anweisung { Var≥0 ∧ Var